2023年第39周安全周报 | 本周安全要闻速

中央网信办官网公布了新一版《云计算服务安全评估专业技术机构》名单，将原有的4家评估机构扩展到了8家，新增国家计算机网络与信息安全管理中心、国家信息中心、中国电子科技集团公司第十五研究所、国家工业信息安全发展研究中心4家评估机构。本次评估专业技术机构扩容，将为进一步推动我国政府部门和企业组织开展云计算服务安全管理与评估工作提供支撑和帮助。

天津公安南开分局网络安全保卫支队接到线索：辖区内某单位的重要信息系统数据遭到恶意篡改，严重危害网络安全！南开分局网络安全保卫支队立即启动“一案双查”，就该单位网络安全风险隐患问题进行调查，查处其网络运营者未履行网络安全保护义务一案。南开分局网络安全保卫支队通过现场查看该单位制度类文件，并经过比对、分析发现，该单位运营使用的信息系统存在多重问题：一是防范网络侵入技术措施不完善，物理网络环境内部存在监测漏洞；二是监测、记录网络运行状态的网络日志不足6个月；三是对于安全缺陷、漏洞等风险，该单位未立即采取补救措施亦未向有关部门报告，信息系统持续“带病”运营，给了不法分子可乘之机。依据《中华人民共和国网络安全法》第二十一条、第五十九条之规定，南开分局对该单位及相关主管人员分别予以罚款伍万元和贰万元的行政处罚。

总部位于香港的一家加密货币公司9月25日宣布，黑客在攻击其云服务提供商后窃取了其约2亿美元的资产。Mixin将自己描述为构建“始终将安全、隐私和去中心化放在首位的开源软件”，并在社交媒体帖子中宣布了这一事件。该公司表示，此次违规事件发生在周六（23日），因此暂时停止了存款和取款服务。该公司表示：“一旦漏洞得到确认并修复，这些服务将重新开放。” Mixin的核心产品是用于传输数字货币和类似资产的网络。受影响的云服务提供商尚未确定。该公司在声明中表示，已联系谷歌和一家名为 SlowMist的区块链安全公司进行调查。

乌克兰黑客声称已侵入俄罗斯公司Sirena-Travel的数据库。该数据库包含数亿次航空旅行的信息以及乘客保险以及其他个人数据。有关此次黑客攻击的消息发布在黑客社区KibOrg的电报频道上。他们声称Muppets是这次黑客攻击的幕后黑手。黑客表示，这两个数据库包含了35亿条乘客的电话号码记录和6.646亿条个人信息记录（包括航班号码、路线、票价、机票价格等），共41.646亿条乘客数据被窃取，这些数据涵盖2007年至2023年期间。网络上出现了黑客发布的两个数据库“探针”。例如，在其中发现了奥地利外交部前负责人、俄罗斯石油公司前董事会成员卡琳·克奈斯尔的航班数据，她于2023年夏天移居俄罗斯。有关其移动的数据与她9月10日从圣彼得堡飞往符拉迪沃斯托克经济论坛的公开报道一致。阿列克谢·纳瓦尔尼团队的乔治·阿尔布罗夫写道，通过检查与弗拉基米尔·普京关系密切的阿琳娜·卡巴耶娃最近从明斯克飞往莫斯科的航班数据，验证了该数据库的真实性。

英国政府周四签署了一项欧洲协议，放宽与美国的跨大西洋商业数据流动，并向议会表示，英国将加入布鲁塞尔主导的一项协议，该协议允许 Facebook 和谷歌等美国公司存储欧洲用户的数据,该条例将于 10 月 12 日生效。通过政府所称的“数据桥”——基本上是对该框架的全面接受——威斯敏斯特借助欧盟-美国数据隐私框架，避免了根据这些条款谈判一项单独的商业数据流协议。这意味着从 10 月 12 日起，英国企业可以将个人数据传输到美国，无需其他机制，也无需进行传输影响评估和实施额外的传输保障措施。

美国网络安全和基础设施安全局(CISA)近期发布了供应链风险管理的硬件物料清单(HBOM)框架。该文档介绍了一个HBOM框架，为供应商创建了一个一致的、可复制的途径，以便在当前或未来的产品采购中与购买者就硬件组件进行互动。该框架为购买者提供了彻底评估和降低供应链风险的方法。HBOM框架由信息和通信技术(ICT)供应链风险管理(SCRM)工作组发布，包括组件属性的一致命名方法、用于识别和提供有关不同类型组件的信息的格式，以及组件属性的指导。哪些HBOM信息合适取决于HBOM的使用目的。该框架由几个关键组件组成，包括用例类别（附录A）、HBOM 式（附录B）；和数据字段分类（附录C）。该框架的目标是为HBOM制定可靠且可预测的结构，以及一组明确定义的HBOM组件及其属性的数据字段，从而提高 ICT部门各种用例的效率。 

科威特政府正在从影响其财政部的勒索软件攻击中恢复。勒索软件攻击于9月18日开始，政府官员立即试图分离并关闭受影响的系统。官员们试图消除人们对工人无法获得工资的担忧，并重申支付和工资系统位于单独的网络上。财政部在25日一发布的最新消息中表示，该国国家网络中心一直在全天候工作以解决该问题，并已获得网络安全公司以及其他未具名政府的帮助。“自网络攻击发生的第一天起，我们就将财政部的系统与其他政府机构的系统隔离，财政部组建了一个由包括国家网络中心在内的多个实体组成的技术团队，一家专业且可靠的国际公司的帮助，”政府表示。财政部确认，政府机构工人工资的所有数据都存储在财政部的系统中，并记录了财务交易。所有政府机构都在继续正常运作。